Fremde ohne Konto konnten über gewöhnliche Formulare Schadcode in Websites mit dem Plugin JetFormBuilder einschleusen. Ausgeführt werden sie, sobald ein Redakteur oder Administrator die passende Seite öffnet. Die Version 3.6.8.1 vom 6. November schließt die Einträge.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Die US-Schwachstellendatenbank NVD hat am 7. November drei Sicherheitslücken in JetFormBuilder veröffentlicht, die Wordfence als Vergabestelle mit CVSS 3.1 zwischen 5,4 und 7,2 bewertet.[1][3][4] Laut wordpress.org läuft das Formular-Plugin von Crocoblock auf mehr als 80.000 aktiven Installationen, aktuell ist Version 3.6.8.1.[2]
Das Wichtigste in Kürze
- Zwei Einträge (CVSS 3.1: 7,2) betreffen Versionen bis 3.6.7 beziehungsweise 3.6.8 und setzen laut NVD kein Konto voraus, aber eine bestimmte Formularkonfiguration.
- Ein dritter Eintrag (5,4) verlangt, dass ein Berechtigter einen präparierten Link öffnet.
- Version 3.6.8.1 vom 6. November bringt laut Änderungsprotokoll 16 Sicherheitskorrekturen.
- Belege für Angriffe liegen am 9. November nicht vor, die Einträge stehen nicht im CISA-Katalog ausgenutzter Schwachstellen.
Warum trifft es Administratoren, obwohl der Angreifer ein Besucher ist?
Bei einer gespeicherten Skripteinschleusung (Stored XSS) legt ein Angreifer Text mit Programmcode in der Datenbank ab. Die Website gibt ihn später ungefiltert in einer Seite aus, und der Browser führt ihn aus. Bei JetFormBuilder passiert das laut NVD an Stellen, an denen das Plugin gespeicherte Werte wieder in Formulare einsetzt: bei vorbefüllten Feldern aus gespeicherten Einträgen, bei Rechenfeldern und bei Werten, die ein Formular als Beitragsmetadaten ablegt.[1][3]
Gefährlich wird das, weil der Code mit den Rechten des Besuchers läuft. Öffnet ein angemeldeter Administrator die Seite, kann das Skript in dessen Namen Aktionen auslösen, etwa ein neues Administratorkonto anlegen. Bei dem Eintrag mit 5,4 beschreibt die NVD genau diesen Weg: Der Angreifer muss einen Nutzer mit dem Recht zum Bearbeiten fremder Beiträge dazu bringen, einen präparierten Formularlink zu öffnen.[4] Dafür genügt eine Phishing-Mail.
Alle drei Einträge hängen an einer Konfiguration. Beim ersten Eintrag müssen Formulare ihre Einträge speichern und eine Vorbefüllung aus diesen Einträgen nutzen, beim zweiten legt ein öffentliches Formular Beiträge an, und ein Rechenfeld liest den gespeicherten Wert aus.[1][3] Das schränkt den Kreis ein, auch wenn die Zahl der betroffenen Websites daraus nicht hervorgeht. Auf Websites mit Buchungs-, Bewerbungs- oder Anfrageformularen sind solche Kombinationen nicht selten.
Betroffen sind laut NVD Versionen bis 3.6.7 (erster Eintrag) beziehungsweise bis 3.6.8 (die anderen beiden). Das Änderungsprotokoll führt für 3.6.8.1 unter anderem das Maskieren von Besucher-HTML in E-Mails, in Beschriftungen und im Rechenfeld auf.[5] Am 9. November liefen 68,7 Prozent der Installationen auf der Reihe 3.6, in der betroffene und behobene Versionen stecken. Die Reihen 3.5 und 3.4 kommen zusammen auf 24,0 Prozent und liegen laut NVD-Versionsangabe durchweg im betroffenen Bereich.[2]
Wie oft bekommt JetFormBuilder diese Lücke noch?
Auffällig ist der Rhythmus. Nach Version 3.6.7.1 mit einer Korrektur gegen gespeicherte Skripte und Version 3.6.8 mit vier Sicherheitseinträgen ist 3.6.8.1 die dritte Version in Folge mit Sicherheitskorrekturen.[5] Formular-Plugins nehmen Fremdtext entgegen und geben ihn an vielen Stellen wieder aus: in der Vorbefüllung, in E-Mails, in Beschriftungen, in der Verwaltungsansicht. Jede Stelle braucht ihr eigenes Maskieren. Fehlt es an einer, entsteht ein neuer Eintrag.
Dr. Web hat in den vergangenen Tagen mehrere Plugins mit derselben Art von Sicherheitslücke gemeldet, darunter TranslatePress und Optimole, jeweils mit Skripten, die Besucher ohne Konto einschleusen konnten. Bei Unlimited Elements kamen die Skripte aus einem fremden Feed. Auch beim Formular-Plugin Forminator ging es um diese Art von Sicherheitslücke.
Der Stand: offengelegt (NVD, 7. November), Patch verfügbar (3.6.8.1 seit 6. November), Exploit-Code und Angriffe nicht belegt.
Was ein Angreifer jeweils braucht
Auf welchen Versionsreihen die Installationen liefen
Orange: Die Reihen 3.5 und 3.4 liegen laut NVD-Versionsangabe durchweg im betroffenen Bereich (zusammen 24,0 %). Die Reihe 3.6 enthält betroffene Versionen (bis 3.6.8) und die behobene 3.6.8.1. Die Statistik von wordpress.org zeigt Anteile je Versionsreihe, nicht je Einzelversion.
Ein Formular holt fremden Text ins System. Er gehört bei jeder Ausgabe geprüft, nicht nur beim Speichern.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie JetFormBuilder 3.6.8.1 ein und schalten Sie automatische Updates für das Plugin ein.
- Konten prüfen: Suchen Sie in WordPress nach Administratorkonten, die niemand angelegt hat, und ändern Sie bei Verdacht die Passwörter.
- Einträge durchsehen: Kontrollieren Sie gespeicherte Formulareinträge und Beitragsmetadaten, die Formulare befüllen, auf unbekannten HTML-Text.
- Vorsicht bei Links: Redakteure öffnen Formularlinks mit ungewöhnlichen Zusätzen in der Adresse nicht aus Mails heraus.
- Übergangsweise abschalten: Lässt sich das Update nicht sofort einspielen, deaktivieren Sie das Plugin oder nehmen Sie Formulare mit gespeicherten Einträgen und Rechenfeldern vom Netz.
Agenturen mit vielen Websites ihrer Kunden filtern ihre Update-Werkzeuge nach dem Plugin und allen Versionen bis 3.6.8. Formulare erfassen Namen, E-Mail-Adressen und oft Freitext. Besteht der Verdacht, dass ein Angreifer Daten abgreifen konnte, prüfen Betreiber die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden nach Bekanntwerden gilt. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Im WordPress-Hosting-Vergleich finden Betreiber Anbieter, die Updates und Überwachung übernehmen.
FAQ: Schwere Sicherheitslücke bei JetFormBuilder
Ab welcher Version ist JetFormBuilder geschützt?
Die beiden Einträge mit CVSS 3.1: 7,2 und 5,4 betreffen laut NVD Versionen bis 3.6.8, der dritte Eintrag mit 7,2 Versionen bis 3.6.7. Version 3.6.8.1 vom 6. November 2026 führt im Änderungsprotokoll 16 Sicherheitskorrekturen auf und ist die aktuelle Version.
Braucht ein Angreifer ein Konto auf der Website?
Bei den beiden Einträgen mit 7,2 nicht. Laut NVD genügt ein Besucher, vorausgesetzt, die Website nutzt eine bestimmte Formularkonfiguration. Beim Eintrag mit 5,4 muss zusätzlich ein Redakteur oder Administrator einen präparierten Link öffnen.
Wird die Sicherheitslücke schon ausgenutzt?
Belege für Angriffe liegen am 9. November 2026 nicht vor, die Einträge stehen nicht im Katalog der CISA für ausgenutzte Schwachstellen. Weil der Patch seit dem 6. November erhältlich ist und die NVD-Einträge öffentlich sind, sollten Betreiber nicht warten.
Was kann ein eingeschleustes Skript auf der Website anrichten?
Es läuft im Browser des Nutzers, der die Seite öffnet, mit dessen Rechten. Bei einem angemeldeten Administrator kann es in dessen Namen Aktionen auslösen, etwa ein weiteres Administratorkonto anlegen. Das führt zur Übernahme der Website.
Quellen
5 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-111317, veröffentlicht am 7. November 2026, Vergabestelle Wordfence; Wordfence: Eintrag in der Wordfence Threat Intelligence (in der NVD referenziert); CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 9. November 2026
- wordpress.orgJetFormBuilder, aktive Installationen und Versionsstatistik, abgerufen am 9. November 2026
- NVDCVE-2026-119183, veröffentlicht am 7. November 2026, Vergabestelle Wordfence; Wordfence: Eintrag in der Wordfence Threat Intelligence
- NVDCVE-2026-121977, veröffentlicht am 7. November 2026, Vergabestelle Wordfence; Wordfence: Eintrag in der Wordfence Threat Intelligence
- wordpress.orgÄnderungsprotokoll JetFormBuilder (Versionen 3.6.7.1, 3.6.8 und 3.6.8.1), abgerufen am 9. November 2026
Mehr Newshunger?
- Schwere Sicherheitslücke bei TranslatePress
- Schwere Sicherheitslücke bei Optimole
- Schwere Sicherheitslücke bei Unlimited Elements
- Wie gefährlich sind die Forminator-Lücken für über 600.000 WordPress-Installationen?
- Sicherheitslücke bei Contact Form 7 im Datei-Upload
- Schwere Sicherheitslücke bei iubenda im Cookie-Plugin
